医疗行业等级保护测评解读.ppt

深圳市信息安全测评中心深圳市信息安全测评中心医疗行业等级保护测评解读深圳市信息安全测评中心 邱建中2009年7月30日1 深圳市信息安全测评中心深圳市信息安全测评中心 医疗行业等级保护测评解读l等级测评概述等级测评概述l等级测评的内容等级测评的内容l等级测评的流程和方法等级测评的流程和方法l医疗行业信息安全现状和测评重点医疗行业信息安全现状和测评重点l关于测评机构关于测评机构2 深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述－政策背景政策背景一、政策背景一、政策背景————国家全面推行信息安全等级保护制度国家全面推行信息安全等级保护制度•20072007年年6 6月月，，公公安安部部、、国国家家保保密密局局、、国国家家密密码码管管理理局局、、国国务务院院信信息息化化工工作作办办公公室室联联合合发发布布《《信信息息安安全全等等级级保保护护管管理理办办法法》》（（公公通通字字［［20072007］］4343号号）），，在在全全社社会会范范围围推推行行““信信息息安安全全等等级级保保护护””政策•等等级级保保护护工工作作是是信信息息安安全全工工作作的的基基本本制制度度，，是是维维护护国国家家信信息息安安全的根本全的根本保障，是国家意志的体现。

保障，是国家意志的体现•根根据据《《信信息息安安全全等等级级保保护护管管理理办办法法》》规规定定，，信信息息系系统统运运营营、、使使用用单单位位在在进进行行信信息息系系统统备备案案后后，，都都应应当当选选择择测测评评机机构构进进行行等等级级测评 深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述－什么是等级测评什么是等级测评二、什么是等级测评？二、什么是等级测评？等级测评是等级测评是测评机构测评机构依据依据国家信息安全等级保护制国家信息安全等级保护制度度规定规定，受有关单位，受有关单位委托委托，按照，按照有关有关管理规范和管理规范和技术标准技术标准，对，对信息系统安全等级保护状况信息系统安全等级保护状况进行检进行检测评估的活动测评估的活动 深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述－为何要开展等级测评为何要开展等级测评三、为什么要开展等级测评工作？三、为什么要开展等级测评工作？1 1、等级测评是保证等级保护国家政策得到切实落实的重要保证、等级测评是保证等级保护国家政策得到切实落实的重要保证 推行等级保护的目的是：促进运营和使用单位改造加固信息系统，确保信息系统达到相应等级的安全基本要求，取得相应等级的基本安全保护能力。

系统是否满足相应等级的基本要求成为问题的关键；等级测评是依据《信息系统安全等级保护测评要求》等技术标准，确定信息系统安全保护能力是否达到相应等级基本要求的过程，是落实信息安全等级保护制度的关键步骤如果不开展等级测评，等级保护这项国家政策将无法落地2 2、等级测评对等级保护其他环节和等级保护整体工作成效具有决定性影响、等级测评对等级保护其他环节和等级保护整体工作成效具有决定性影响 等级保护包含：定级、备案、测评、建设整改、监督检查5个环节，每个环节环环相扣；等级测评结果是建设整改、监督检查的关键依据等级测评对系统经过等级保护之后最终能够达到什么样的安全防护能力具有决定性影响，对等级保护工作的实际成效具有决定性影响5 深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述－为何要开展等级测评为何要开展等级测评三、为什么要开展等级测评工作？三、为什么要开展等级测评工作？3 3、等级测评独特的技术裁决性质，决定了等级测评工作不可替代性、等级测评独特的技术裁决性质，决定了等级测评工作不可替代性 等级测评依据的是国家技术标准，落实的是国家信息安全政策，等级测评的结果是国家信息安全监管部门依法行使监督、检查管理的技术依据，具有明显的技术权威评判性质。

因此，作为一项政策性很强的技术专业化活动，等级测评必须保证强烈的独立性、客观性和公正性，等级测评必须严格区别于任何商业化的测试、评估活动，不能为商业性测评所取代6 深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述－政策解读政策解读四、等级测评相关政策要求解读四、等级测评相关政策要求解读•《《信息安全等级保护管理办法信息安全等级保护管理办法》》规定：信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评•《《信息安全等级保护测评机构能力规范（征求意见稿）信息安全等级保护测评机构能力规范（征求意见稿）》》规定：测评机构应当按照有关规定和统一标准提供“客观、公正、安全”的测评服务，按照统一的测评报告模板出具测评报告测评机构不得从事下列活动： a) 承担信息系统安全建设整改工作； b) 将等级测评任务分包、外包； c) 从事信息安全产品开发、营销和信息系统集成活动；d) 限定被测评单位购买、使用其指定的信息安全产品； e) 未经许可占有、使用有关测评信息、资料及数据文件; f) 其他可能影响测评客观、公正的活动。

 深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述－政策解读政策解读•政策解读：政策解读：1.　测评依据：　测评依据：￿ ￿《《信息系信息系统安全等安全等级保保护测评要求要求》》等技等技术标准准2.　　测评性质：符合性测评，符标测试测评性质：符合性测评，符标测试3.　　 测评对象：已经定级的信息系统　测评对象：已经定级的信息系统　4.　测评频率：　测评频率：三三级系系统，每年至少一次；四，每年至少一次；四级系系统，每半年至少一次，每半年至少一次5.　测评管理要求：强制性周期开展　测评管理要求：强制性周期开展6.　测评技术要求：等级化进行　测评技术要求：等级化进行---不同级别的系统测评要求不同不同级别的系统测评要求不同7.　测评发起单位：主管部门，运维、使用单位，国家信息安全监管部门　测评发起单位：主管部门，运维、使用单位，国家信息安全监管部门8.　测评报告利用：测评报告整改加固指导性文件，也是系统备案附件　测评报告利用：测评报告整改加固指导性文件，也是系统备案附件9.　测评机构要求：　测评机构要求： 公安机关同意备案或授权且不从事系统安全整改建设公安机关同意备案或授权且不从事系统安全整改建设　　　　　　　　产品开发与营销等影响　　　　　　　　产品开发与营销等影响 “客观、公正、安全客观、公正、安全”的工作。

　　　的工作　　　8 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容－十个方面十个方面业务安全业务安全物物理理安安全全技术要求技术要求管理要求管理要求基本要求基本要求网网络络安安全全主主机机安安全全应应用用安安全全数数据据安安全全安安全全管管理理机机构构安安全全管管理理制制度度人人员员安安全全管管理理系系统统建建设设管管理理系系统统运运维维管管理理 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容物物理理位位置置选选择择物理安全物理安全(三级三级)物物理理访访问问控控制制防防盗盗窃窃和和防防破破坏坏防防雷雷击击防防火火防防水水和和防防潮潮温温湿湿度度控控制制电电力力供供应应电电磁磁防防护护防防静静电电物理层面构成组件包括信息系统工作的设施环境以及构成信息系物理层面构成组件包括信息系统工作的设施环境以及构成信息系统的硬件设备和介质等统的硬件设备和介质等 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容结结构构安安全全和和网网段段划划分分网络安全网络安全(三级三级)网网络络访访问问控控制制网网络络安安全全审审计计边边界界完完整整性性检检查查网网络络入入侵侵检检测测恶恶意意代代码码防防护护网网络络设设备备防防护护　　　　网络层面构成组件负责支撑信息系统进行网络互联，为信息系统各网络层面构成组件负责支撑信息系统进行网络互联，为信息系统各个构成组件进行安全通信传输，一般包括计算机、网络设备、连接线路个构成组件进行安全通信传输，一般包括计算机、网络设备、连接线路以及它们构成的网络拓扑等。

以及它们构成的网络拓扑等　　两个不同信息系统需要交换信息，而进行网络互联（内部互联）；　　两个不同信息系统需要交换信息，而进行网络互联（内部互联）；为了与其他单位为了与其他单位/网络交换信息，与他们的网络互联（外部互联），这网络交换信息，与他们的网络互联（外部互联），这些网络连接边界是网络安全测评的重点之一些网络连接边界是网络安全测评的重点之一　　　　 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容身身份份鉴鉴别别主机系统安全主机系统安全(三级三级)访访问问控控制制安安全全审审计计剩剩余余信信息息保保护护入入侵侵防防范范恶恶意意代代码码防防范范资资源源控控制制　　　　主主机机系系统统构构成成组组件件有有服服务务器器、、终终端端/ /工工作作站站等等计计算算机机设设备备，，包包括括他他们们的的操操作作系系统统、、数数据据库库系系统统及及其其相相关关环环境境等等主主机机系系统统直直接接为为信信息息系系统统的的信信息息采采集集、、加加工工、、存存储储、、传传输输、、检检索索等等提提供供运运行行环环境境，，包包括括为为信信息息系系统统用用户户提提供供人人机机交交互互的的环环境境。

通通常常采采取取身身份份鉴鉴别别、、访访问问控控制制、、安安全全审审计计、、系系统统资资源源控制等安全功能，以保证系统的安全控制等安全功能，以保证系统的安全 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容身身份份鉴鉴别别应用安全应用安全(三级三级)访访问问控控制制通通信信完完整整性性通通信信保保密密性性安安全全审审计计剩剩余余信信息息保保护护抗抗抵抵赖赖软软件件容容错错资资源源控控制制　　　　应用系统体系结构模型可以根据用户与数据之间所具有的层次来应用系统体系结构模型可以根据用户与数据之间所具有的层次来划分，即：单层应用体系结构模型、两层应用体系结构模型、多层划分，即：单层应用体系结构模型、两层应用体系结构模型、多层（可以是三层或三层以上）应用体系结构模型可以是三层或三层以上）应用体系结构模型  深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容数据完整性数据完整性数据安全数据安全(三级三级)数据保密性数据保密性安全备份安全备份　　数据层面构成组件主要包括信息系统安全功能数据和用户数据，这些　　数据层面构成组件主要包括信息系统安全功能数据和用户数据，这些数据可能处于传输和处理过程中，也可能处于存储状态。

对于传输和处理数据可能处于传输和处理过程中，也可能处于存储状态对于传输和处理过程中的数据，一般有机密性和完整性的安全要求，而对于存储中的数据，过程中的数据，一般有机密性和完整性的安全要求，而对于存储中的数据，还需要有备份恢复的安全要求还需要有备份恢复的安全要求  深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容岗岗位位设设置置安全管理机构安全管理机构(三级三级)人人员员配配备备授授权权和和审审批批沟沟通通与与合合作作审审核核和和检检查查　　安全管理机构包括安全管理的岗位设置、人员配备、授权和审批、　　安全管理机构包括安全管理的岗位设置、人员配备、授权和审批、沟通和合作等方面内容，严格的安全管理应该由相对独立的职能部门和沟通和合作等方面内容，严格的安全管理应该由相对独立的职能部门和岗位来完成岗位来完成 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容管理制度管理制度安全管理制度安全管理制度(三级三级)制订和发布制订和发布评审和修订评审和修订　　安全管理制度一般是文档化的，被正式制定、评审、发布和　　安全管理制度一般是文档化的，被正式制定、评审、发布和修订，内容包括策略、制度、规程、表格和记录等，构成一个塔修订，内容包括策略、制度、规程、表格和记录等，构成一个塔式结构的文档体系。

式结构的文档体系 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容人人员员录录用用人员安全管理人员安全管理(三级三级)人人员员离离岗岗人人员员考考核核安安全全意意识识教教育育和和培培训训外外部部人人员员访访问问管管理理　　包括信息系统用户、安全管理人员和第三方人员的管理，覆盖　　包括信息系统用户、安全管理人员和第三方人员的管理，覆盖人员录用、人员离岗、人员考核、安全意识教育和培训、第三方人人员录用、人员离岗、人员考核、安全意识教育和培训、第三方人员管理等方面内容员管理等方面内容 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容系系统统定定级级系统建设管理系统建设管理(三级三级)安安全全方方案案设设计计产产品品采采购购和和使使用用自自行行软软件件开开发发外外包包软软件件开开发发工工程程实实施施测测试试验验收收系系统统交交付付安安全全服服务务商商选选择择系系统统备备案案　　包括系统定级、安全风险分析、安全方案设计、产品采购、自行软　　包括系统定级、安全风险分析、安全方案设计、产品采购、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、安全测评、件开发、外包软件开发、工程实施、测试验收、系统交付、安全测评、系统备案等信息系统安全等级建设的各个方面系统备案等信息系统安全等级建设的各个方面。

 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容环环境境管管理理系统运维管理系统运维管理(三级三级)资资产产管管理理设设备备管管理理介介质质管管理理运运行行管管理理和和监监控控管管理理网网络络安安全全管管理理系系统统安安全全管管理理恶恶意意代代码码防防范范管管理理变变更更管管理理密密码码管管理理备备份份和和恢恢复复管管理理安安全全事事件件处处置置应应急急预预案案管管理理　　　　系系统统运运维维管管理理包包括括运运行行环环境境管管理理、、资资产产管管理理、、介介质质管管理理、、设设备备使使用用管管理理、、运运行行监监控控管管理理、、恶恶意意代代码码防防护护管管理理、、网网络络安安全全管管理理、、系系统统安安全全管管理理、、密密码码管管理理、、变变更更管管理理、、备备份份和和恢恢复复管管理理、、安安全全事事件件处处置置和和应应急急计计划划管管理理等等方面内容方面内容  深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容－主要核心技术主要核心技术1　　身份鉴别和自主访问控制　　身份鉴别和自主访问控制2　　安全审计　　安全审计3　　完整性和保密性保护　　完整性和保密性保护4　　边界保护　　边界保护5　　资源控制　　资源控制6　　入侵防范和恶意代码防范　　入侵防范和恶意代码防范7　　安全管理平台设置　　安全管理平台设置8　　备份与恢复　　备份与恢复9　　强制访问控制　　强制访问控制10　　密码技术应用　　密码技术应用11　　环境与设施安全　　环境与设施安全20 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容－核心技术要求核心技术要求数据安全数据安全1.身份鉴别和自主访问控制2.安全审计3.完整性和保密性保护5.资源控制6.入侵防范和恶意代码防范8.备份与恢复9.强制访问控制10.密码技术应用11.环境与设施安全核心技术要求分布状况：核心技术要求分布状况：安全管理中心安全管理中心1.身份鉴别和自主访问控制2.安全审计7.安全管理平台设置11.环境与设施安全广域网广域网1.身份鉴别和自主访问控制2.安全审计3.完整性和保密性保护4.边界保护11.环境与设施安全局域网局域网1.身份鉴别和自主访问控制2.安全审计3.完整性和保密性保护4.边界保护5.资源控制6.入侵防范和恶意代码防范10.密码技术应用11.环境与设施安全21 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容－主要核心技术主要核心技术实现方式（参考）实现方式（参考）•身份认证、防火墙访问控制•流量与行为审计、数据库审计•IPSec VPN、SSL VPN•终端防外联、接入认证•负载均衡、流量控制•IPS、防病毒、终端桌面管理•SIEM、安全事件智能分析联动•IP－SAN、CDP、WSAN•操作系统文件访问控制•产品选购符合国密办规定•按照国标GB50173-93《电子计算机机房设计规范》 GB2887-89《计算站场地技术条件》 、 GB9361-88《计算站场地安全要求》建设核心技术要求核心技术要求•1 身份鉴别和自主访问控制•2 安全审计•3 完整性和保密性保护•4 边界保护•5 资源控制•6 入侵防范和恶意代码防范•7 安全管理平台设置•8 备份与恢复•9 强制访问控制•10 密码技术应用•11 环境与设施安全22 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的流程等级测评项目启动测评准备阶段编制测评方案工具和文档准备现场实施阶段分析测评结果报告编制阶段交流与洽谈形成等级测评结论编制测评报告结果确认和资料归还现场测评和结果记录方案确认和资源协调信息收集和分析 深圳市信息安全测评中心深圳市信息安全测评中心测评准备阶段-项目启动项目启动•向被测单位介绍等级测评的意义和作用，测评工作的基本流程和工作方法。

向被测单位介绍等级测评的意义和作用，测评工作的基本流程和工作方法•了解被测单位的信息化建设状况与发展包括被测系统的行业特征、主管机了解被测单位的信息化建设状况与发展包括被测系统的行业特征、主管机构、业务范围、地理位置以及被测系统基本情况，获得被测系统的背景信息构、业务范围、地理位置以及被测系统基本情况，获得被测系统的背景信息和联络方式，填写和联络方式，填写《《系统基本情况调查表系统基本情况调查表》》•指出被测单位应提供的基本资料，包括：被测系统总体描述文件，被测系统指出被测单位应提供的基本资料，包括：被测系统总体描述文件，被测系统详细描述文件，被测系统安全保护等级定级报告，系统验收报告，安全需求详细描述文件，被测系统安全保护等级定级报告，系统验收报告，安全需求分析报告，被测系统安全总体方案等分析报告，被测系统安全总体方案等•根据测评双方签订的委托测评协议书和系统规模，测评机构组建测评项目组，根据测评双方签订的委托测评协议书和系统规模，测评机构组建测评项目组，从人员方面做好准备，并编制项目计划从人员方面做好准备，并编制项目计划24 深圳市信息安全测评中心深圳市信息安全测评中心测评准备阶段-信息收集与分析信息收集与分析•被测单位积极配合测评机构，为测评机构提供其所需要的各种资料，包括被测被测单位积极配合测评机构，为测评机构提供其所需要的各种资料，包括被测单位的各种方针文件、规章制度及相关过程管理记录、被测系统总体描述文件、单位的各种方针文件、规章制度及相关过程管理记录、被测系统总体描述文件、被测系统详细描述文件、被测系统安全保护等级定级报告、安全需求分析报告、被测系统详细描述文件、被测系统安全保护等级定级报告、安全需求分析报告、被测系统安全总体方案、安全现状评价报告、被测系统安全详细设计方案、用被测系统安全总体方案、安全现状评价报告、被测系统安全详细设计方案、用户指南、运行步骤、网络图表、配置管理文档等。

户指南、运行步骤、网络图表、配置管理文档等•测评机构分析被测单位提供的系统相关文件和初步了解到的系统基本情况，将测评机构分析被测单位提供的系统相关文件和初步了解到的系统基本情况，将需要补充了解的内容编制成调查表并发放给被测系统运行维护人员需要补充了解的内容编制成调查表并发放给被测系统运行维护人员•测评机构收回填写完成的调查表单，并分析调查结果，以进一步了解和熟悉被测评机构收回填写完成的调查表单，并分析调查结果，以进一步了解和熟悉被测系统的实际情况分析的内容包括被测系统的基本信息、管理框架、被测系测系统的实际情况分析的内容包括被测系统的基本信息、管理框架、被测系统的网络及设备部署、业务种类和特性、业务系统处理的信息资产、用户范围统的网络及设备部署、业务种类和特性、业务系统处理的信息资产、用户范围和用户类型等和用户类型等25 深圳市信息安全测评中心深圳市信息安全测评中心测评准备阶段-系统系统调查表调查表•内容全面内容全面•顺序合理顺序合理•保留逻辑关联保留逻辑关联•内容至少包括被测系统的行业特征、主管机构、业务范围、地理位置、背内容至少包括被测系统的行业特征、主管机构、业务范围、地理位置、背景信息、联络方式、组织管理结构、管理策略、部门设置和部门在业务运景信息、联络方式、组织管理结构、管理策略、部门设置和部门在业务运行中的作用、岗位职责、物理环境、网络拓扑结构、硬件设备部署情况、行中的作用、岗位职责、物理环境、网络拓扑结构、硬件设备部署情况、范围及边界、业务种类及特性、业务流程、业务安全保护等级等。

范围及边界、业务种类及特性、业务流程、业务安全保护等级等26 深圳市信息安全测评中心深圳市信息安全测评中心测评准备阶段-编制测评方案编制测评方案•根据被测系统基本情况描述被测系统，包括被测系统基本信息、管理框架、根据被测系统基本情况描述被测系统，包括被测系统基本信息、管理框架、被测系统的网络及设备部署、业务种类和特性、业务信息安全等级、系统被测系统的网络及设备部署、业务种类和特性、业务信息安全等级、系统服务安全等级、业务流程相关设备、部件和数据、管理模式、用户范围和服务安全等级、业务流程相关设备、部件和数据、管理模式、用户范围和用户类型等用户类型等•根据被测系统规模确定人员分工和测评计划对于一般规模且业务种类较根据被测系统规模确定人员分工和测评计划对于一般规模且业务种类较少的被测系统，分组负责主机、网络、应用安全测评和工具测试测评计少的被测系统，分组负责主机、网络、应用安全测评和工具测试测评计划可以列表的形式给出，包括总体时间安排、分项测评时间安排等划可以列表的形式给出，包括总体时间安排、分项测评时间安排等•选择适当的测评对象、方式和工具选择适当的测评对象、方式和工具•确定测评指标。

确定测评指标•确定现场测评实施内容，包括单项测评和系统整体测评确定现场测评实施内容，包括单项测评和系统整体测评•汇总上述汇总上述6个步骤的各类文档和资料形成测评方案文稿个步骤的各类文档和资料形成测评方案文稿•评审和提交测评方案测评方案初稿应通过测评项目组全体成员评审，修评审和提交测评方案测评方案初稿应通过测评项目组全体成员评审，修改完成后形成提交稿然后，测评机构将测评方案提交给被测单位被测改完成后形成提交稿然后，测评机构将测评方案提交给被测单位被测单位应对该测评方案签字认可单位应对该测评方案签字认可27 深圳市信息安全测评中心深圳市信息安全测评中心测评准备阶段-工具和文档准备工具和文档准备•测评人员熟悉被测系统相关的操作系统、数据库及业务流程等测评人员熟悉被测系统相关的操作系统、数据库及业务流程等•测评人员调试、熟悉本次测评过程中将用到的测评工具，包括作业测评人员调试、熟悉本次测评过程中将用到的测评工具，包括作业指导书、漏洞扫描工具、渗透性测试工具、性能测试工具和协议分指导书、漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等析工具等•准备和打印文档，主要包括：测评方案、现场测评授权书、作业指准备和打印文档，主要包括：测评方案、现场测评授权书、作业指导书、测评结果记录表格（含测评人员入场和离场确认）、文档接导书、测评结果记录表格（含测评人员入场和离场确认）、文档接收收/归还确认单等。

归还确认单等28 深圳市信息安全测评中心深圳市信息安全测评中心现场测评阶段-方案确认与资源协调方案确认与资源协调•召开测评现场首次会，测评机构介绍测评工作，交流测评信息，进一步明召开测评现场首次会，测评机构介绍测评工作，交流测评信息，进一步明确测评计划和方案中的内容，说明测评过程中具体的实施工作内容，测评确测评计划和方案中的内容，说明测评过程中具体的实施工作内容，测评时间安排等，以便于后面的测评工作开展时间安排等，以便于后面的测评工作开展•测评双方对测评方案进行最终审定测评双方对测评方案进行最终审定•测评双方确认现场测评需要的各种资源，包括被测单位的配合人员和需要测评双方确认现场测评需要的各种资源，包括被测单位的配合人员和需要提供的测评条件等提供的测评条件等•被测单位签署现场授权委托书被测单位签署现场授权委托书•测评人员根据会议沟通结果，对测评结果记录表单和测评程序进行必要的测评人员根据会议沟通结果，对测评结果记录表单和测评程序进行必要的更新29 深圳市信息安全测评中心深圳市信息安全测评中心现场测评阶段-现场测评结果记录现场测评结果记录•制定应急预案制定应急预案•系统详细调研系统详细调研•系统安全技术测评系统安全技术测评•系统安全管理测评系统安全管理测评•结果记录结果记录–测评原始记录是出具测评报告的依据，是最重要的测评证据记录。

为测评原始记录是出具测评报告的依据，是最重要的测评证据记录为保证能够重复检验活动的全部过程，原始记录应包含足够的信息；所有的保证能够重复检验活动的全部过程，原始记录应包含足够的信息；所有的测评原始记录应按照规定的格式填写，不得漏记、补记、追记测评原始记录应按照规定的格式填写，不得漏记、补记、追记–严格执行测评方案和作业指导书，根据严格执行测评方案和作业指导书，根据 “现场测评和结果记录现场测评和结果记录”的的要求进行认真测评和记录测评结果，确保结果记录的真实性、完整性和有要求进行认真测评和记录测评结果，确保结果记录的真实性、完整性和有效性30 深圳市信息安全测评中心深圳市信息安全测评中心现场测评阶段- 结果确认和资料归还结果确认和资料归还•测评人员在现场测评完成之后，应首先汇总现场测评的测评人员在现场测评完成之后，应首先汇总现场测评的测评记录，对漏掉和需要进一步验证的内容实施补充测测评记录，对漏掉和需要进一步验证的内容实施补充测评•测评双方对测评过程中发现的问题进行现场确认测评双方对测评过程中发现的问题进行现场确认•测评机构归还测评过程中借阅的所有文档资料，并由被测评机构归还测评过程中借阅的所有文档资料，并由被测单位文档资料提供者签字确认。

测单位文档资料提供者签字确认31 深圳市信息安全测评中心深圳市信息安全测评中心报告编制阶段-分析测评结果分析测评结果•根据测评结果的符合性判定情况，对现场测评的单个测评对象的单个测评根据测评结果的符合性判定情况，对现场测评的单个测评对象的单个测评项的测评结果是否符合要求进行判断，即单项判定，形成单项判定结论，项的测评结果是否符合要求进行判断，即单项判定，形成单项判定结论，判定结论分为两种情况：符合和不符合判定结论分为两种情况：符合和不符合•根据单项判定结论将单项测评的数据按照层面进行汇总分析，以表格的形根据单项判定结论将单项测评的数据按照层面进行汇总分析，以表格的形式，分别统计物理安全、网络安全、主机系统安全、应用安全、管理安全式，分别统计物理安全、网络安全、主机系统安全、应用安全、管理安全等各层面的不同安全控制的不同测评对象的单项测评结论，并对符合项和等各层面的不同安全控制的不同测评对象的单项测评结论，并对符合项和不符合项进行统计不符合项进行统计•根据单项判定结论和数据汇总统计分析情况进行系统整体测评分析，分析根据单项判定结论和数据汇总统计分析情况进行系统整体测评分析，分析单项判定结果为不符合的测评项是否影响系统的整体安全保护能力，分析单项判定结果为不符合的测评项是否影响系统的整体安全保护能力，分析系统的整体结构是否合理。

系统的整体结构是否合理32 深圳市信息安全测评中心深圳市信息安全测评中心报告编制阶段-形成测评结论形成测评结论•在数据汇总分析的基础上，结合系统整体测评结果及被在数据汇总分析的基础上，结合系统整体测评结果及被测系统的实际情况等，分析测评结论为不符合的测评项测系统的实际情况等，分析测评结论为不符合的测评项是否影响系统安全目标实现，是否影响系统安全保护能是否影响系统安全目标实现，是否影响系统安全保护能力•根据系统安全保护现状与等级保护基本要求之间的差距，根据系统安全保护现状与等级保护基本要求之间的差距，分析系统存在的问题，给出系统等级测评结论，并提出分析系统存在的问题，给出系统等级测评结论，并提出改进建议改进建议33 深圳市信息安全测评中心深圳市信息安全测评中心报告编制阶段-报告编制报告编制Ø本阶段是一个自下而上的逐步汇总、形成等级测评结论本阶段是一个自下而上的逐步汇总、形成等级测评结论的过程，首先根据现场测评结果和的过程，首先根据现场测评结果和《《测评要求测评要求》》，对测评结，对测评结果进行分析，得出单项测评结果判定果进行分析，得出单项测评结果判定Ø系统整体测评分析：综合分析被测系统各个层面的安全系统整体测评分析：综合分析被测系统各个层面的安全控制状况及系统的整体安全保护能力是否达到其相应等级的控制状况及系统的整体安全保护能力是否达到其相应等级的保护要求，并给出最终结论；保护要求，并给出最终结论；Ø根据上述分析过程和最终结论，并指出系统中存在的主根据上述分析过程和最终结论，并指出系统中存在的主要问题和整改建议。

要问题和整改建议34 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的方法•人员访谈人员访谈•现场检查现场检查•测试验证测试验证 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的方法-人员访谈人员访谈•访谈对象主要是：信息安全主管，信息安全管理员，访谈对象主要是：信息安全主管，信息安全管理员，信息系统的网络安全员，设备安全管理员和用户信息系统的网络安全员，设备安全管理员和用户•访谈工具主要是：管理核查表访谈工具主要是：管理核查表•访谈适用的情况有：了解和明确管理方面的问题；访谈适用的情况有：了解和明确管理方面的问题；了解信息系统的全局性（包括局部）的非细节性技了解信息系统的全局性（包括局部）的非细节性技术安排问题，一般不涉及到具体的实现细节措施术安排问题，一般不涉及到具体的实现细节措施•访谈获得的证据，一般不作为系统测评判定的主要访谈获得的证据，一般不作为系统测评判定的主要依据，只作为参考的依据但是对低级别的系统，依据，只作为参考的依据但是对低级别的系统，有些访谈结果是可以作为测评的依据有些访谈结果是可以作为测评的依据 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的方法-现场检查现场检查•现场检查主要有核查、审查、评审、观察、对照和现场检查主要有核查、审查、评审、观察、对照和分析等分析等•检查对象包括：文档、记录、机制、设备等检查对象包括：文档、记录、机制、设备等•检查工具主要是：管理和技术核查表检查工具主要是：管理和技术核查表•检查人员不直接操作设备，主要在被测人员操作下检查人员不直接操作设备，主要在被测人员操作下查看结果和记录查看结果和记录•比如：要求打印防火墙的策略，提交检查比如：要求打印防火墙的策略，提交检查 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的方法-测试验证测试验证•测试验证须由测试人员自己动手，操作工具设备开测试验证须由测试人员自己动手，操作工具设备开展工作展工作•测试验证主要分有：功能、性能测试、攻击测试、测试验证主要分有：功能、性能测试、攻击测试、渗透测试等类型渗透测试等类型•测评对象主要包括：安全机制，设备等测评对象主要包括：安全机制，设备等•测试借助的设备主要有：扫描检测工具，网络协议测试借助的设备主要有：扫描检测工具，网络协议分析仪，攻击工具，渗透工具集等分析仪，攻击工具，渗透工具集等•对技术要求来讲，测试的目的是验证信息系统当前对技术要求来讲，测试的目的是验证信息系统当前安全机制运行的有效性和安全强度等安全机制运行的有效性和安全强度等 深圳市信息安全测评中心深圳市信息安全测评中心医疗行业安全现状和测评重点医疗行业安全现状和测评重点医疗机构信息化建设特点：医疗机构信息化建设特点：1、系统承载业务具有高度的相似性、系统承载业务具有高度的相似性2、同类系统的安全需求特性和强度趋同、同类系统的安全需求特性和强度趋同3、网络结构类似、网络结构类似4、系统建设互相借鉴，应用系统类型较少，很多单位使用同一厂商、系统建设互相借鉴，应用系统类型较少，很多单位使用同一厂商开发的相同应用系统开发的相同应用系统5、技术力量，尤其是安全技术力量缺乏，对相关技术要求和标准不、技术力量，尤其是安全技术力量缺乏，对相关技术要求和标准不熟悉熟悉6、存在的问题和困难具有相通性、存在的问题和困难具有相通性 深圳市信息安全测评中心深圳市信息安全测评中心医疗行业安全现状和测评重点医疗行业安全现状和测评重点物理环境物理环境•未注意保留防盗窃、监控报警系统的运行维护检查记录•缺乏各种设备的安全资质和验收报告网络安全网络安全•未合理划分vlan•网络边界未设置合理的访问控制措施•未配备入侵防范和网络层恶意代码防范设备主机安全主机安全•主机数据库的补丁未完全更新•主机和数据库管理员权限未分离•未关闭多余的服务，未配置合理的口令等措施医疗行业容易出现的安全现象医疗行业容易出现的安全现象：40 深圳市信息安全测评中心深圳市信息安全测评中心医疗行业安全现状和测评重点医疗行业安全现状和测评重点应用安全应用安全•用户名和密码以明文形式传输•未设置双因素认证方式•无抗抵赖功能数据安全数据安全•无完整性机制•无保密性机制•关键设备无冗余，未异地备份安全管理安全管理•未建立体系化的安全管理，无详细运行记录医疗行业容易出现的安全现象医疗行业容易出现的安全现象：：41 深圳市信息安全测评中心深圳市信息安全测评中心医疗行业安全现状和测评重点医疗行业安全现状和测评重点•重视局部安全，对总体安全认识不足，对重视局部安全，对总体安全认识不足，对IT规划、安全规划在信息安全中规划、安全规划在信息安全中的重要性认识不足；建设过程中，在物理环境、网络、主机、应用、数据的重要性认识不足；建设过程中，在物理环境、网络、主机、应用、数据及管理各层面均采用了部分安全措施；但往往忽视及管理各层面均采用了部分安全措施；但往往忽视整体的安全规划整体的安全规划，在安，在安全运维中经常陷于全运维中经常陷于 “头痛医头，脚痛医脚头痛医头，脚痛医脚”疲于奔命的局面疲于奔命的局面；；•对安全运维、安全服务认识不足，自身技术条件不足情况下，安全运维长对安全运维、安全服务认识不足，自身技术条件不足情况下，安全运维长期缺位而不注意引入安全服务；期缺位而不注意引入安全服务；•认为信息安全只是技术问题，对安全管理认识不足，未能运行有效的安全认为信息安全只是技术问题，对安全管理认识不足，未能运行有效的安全管理体系，造成制度不到位、责任不明确，出现问题难以查找原因；管理体系，造成制度不到位、责任不明确，出现问题难以查找原因；•认为信息安全即网络安全，对物理、主机、应用、数据安全认识不足，尤认为信息安全即网络安全，对物理、主机、应用、数据安全认识不足，尤其对应用安全认识不足；其对应用安全认识不足；•重视安全产品的采购，忽视安全机制的建立；认为要达到等级保护要求，重视安全产品的采购，忽视安全机制的建立；认为要达到等级保护要求，把该买的设备买够就行，结果不但造成浪费，而且事与愿违。

把该买的设备买够就行，结果不但造成浪费，而且事与愿违医疗行业容易出现安全认识方面的误区医疗行业容易出现安全认识方面的误区：42 深圳市信息安全测评中心深圳市信息安全测评中心关于测评机构关于测评机构- -对测评机构的要求对测评机构的要求一、目前的基本要求：一、目前的基本要求：•达到省级公安网络监察部门备案条件并备案；二、公安部二、公安部2009年年7月开始安排测评机构试点，提出未来规月开始安排测评机构试点，提出未来规范测评机构的较高要求：范测评机构的较高要求：•不得从事信息系统安全建设整改，产品开发、营销和信息系统集成等可能影响测评“客观、公正、安全客观、公正、安全”的经营经营活动；•应依据相关质量体系质量体系标准建立、实施和保持适应等级测评工作开展的管理制度体系•具备满足等级测评工作需要的工具工具，如漏洞扫描器、协议分析仪、性能测试仪和渗透测试工具等•等级测评机构应具备文档化的测评方法测评方法（如测评指导书）•具有安全保管记录安全保管记录的能力，所有的测评记录应保存一定时间 43 深圳市信息安全测评中心深圳市信息安全测评中心关于测评机构关于测评机构深圳市信息安全测评中心深圳市信息安全测评中心单位性质和资质：单位性质和资质：•深深圳圳市市信信息息安安全全测测评评中中心心(软软件件评评测测中中心心））是是深深圳圳市市政政府府批批准准成成立立的的事事业业单单位位，，是是独独立立第第三三方方测测评评机机构构，，是是非非经经营营性性单单位位。

中中心心长长期期以以来来坚坚持持不不参参与与任任何何被被测测系系统统的的建建设设，，以保证测评的客观性和公正性以保证测评的客观性和公正性 ；；•中中心心2002年年成成立立，，现现在在已已经经成成功功运运行行了了 17020、、17025两两套套质质量量体体系系，，长长期期坚坚持持“客客观观、、公公正正、、科科学学、、规规范范”的的 质质量量目目标标经经中中国国合合格格评评定定国国家家认认可可委委员员会会认认可可，，信信息息安安全全测测评和信息安全检查技术能力得到国家认可，测评报告国际通用；评和信息安全检查技术能力得到国家认可，测评报告国际通用；•取得了取得了中国信息安全测评中心中国信息安全测评中心授权，可以代表国家开展信息安全测评工作；授权，可以代表国家开展信息安全测评工作；•取取得得了了公公安安网网监监部部门门的的备备案案授授权权，，在在深深圳圳市市范范围围 内内开开展展信信息息安安全全等等级级测测评评工工作作，，今今年年开开展展了了深深圳圳市市第第一一家家等等级级测测评评试试点点工工作作“北北大大医医院院”，，目目前前又又被被邀邀请请列列为为全全国国等等级级测测评试点单位评试点单位。

44 深圳市信息安全测评中心深圳市信息安全测评中心关于测评机构关于测评机构深圳市信息安全测评中心深圳市信息安全测评中心技术体系和技术能力技术体系和技术能力•2002年构建了信息安全技术、信息安全管理、信息工程控制年构建了信息安全技术、信息安全管理、信息工程控制3维维立体测评技术体系；安全技术和管理立体测评技术体系；安全技术和管理2个维度上的安全能力完全个维度上的安全能力完全覆盖了等级保护覆盖了等级保护10个方面的全部内容；个方面的全部内容；•政府投资数千万元在中心建设有市信息安全测评实验室、市软政府投资数千万元在中心建设有市信息安全测评实验室、市软件测评实验室，运行中的市信息安全测评技术平台具备等保测件测评实验室，运行中的市信息安全测评技术平台具备等保测评要求的全部工具，可以满足等级测评的各项技术需要；评要求的全部工具，可以满足等级测评的各项技术需要；•中心具备一支包含多名博士、硕士、高级工程师、中心具备一支包含多名博士、硕士、高级工程师、CCIE 、、CISP 、、ISO27001主任审核员等人才的技术队伍主任审核员等人才的技术队伍45 深圳市信息安全测评中心深圳市信息安全测评中心关于测评机构关于测评机构深圳市信息安全测评中心深圳市信息安全测评中心项目经验项目经验•2002-2006年为全市年为全市30多家电子政务单位的多家电子政务单位的80多个信息系统进行多个信息系统进行了专项测试评估；了专项测试评估；•2007年，受市信息办委托，对全市年，受市信息办委托，对全市29家电子政务及重要行业的家电子政务及重要行业的信息系统风险评估进行了技术支持，并对信息系统风险评估进行了技术支持，并对19家信息系统的自评家信息系统的自评估工作进行了检查评估。

估工作进行了检查评估•2008年对全市年对全市68家电子政务单位提供了信息安全风险评估技术家电子政务单位提供了信息安全风险评估技术支持，对支持，对68家单位进行了检查评估；家单位进行了检查评估；•奥运前夕对奥运前夕对53家政务网站和社会重要部门开展了专项安全测评家政务网站和社会重要部门开展了专项安全测评•2008年开展了深圳市第一家等级测评试点工作年开展了深圳市第一家等级测评试点工作“北大医院北大医院”，，目前又被邀请列为全国等级测评试点单位目前又被邀请列为全国等级测评试点单位46 深圳市信息安全测评中心深圳市信息安全测评中心 深圳市信息安全测评中心深圳市信息安全测评中心2024年8月31日谢谢！ 深圳市信息安全测评中心深圳市信息安全测评中心地址：深圳市福田区福中路地址：深圳市福田区福中路 城市数字资源中心城市数字资源中心：：0755-821014860755-82101486 13798452848 13798452848 邮箱：邮箱：qjzh@qjzh@ 深圳市信息安全测评中心深圳市信息安全测评中心48。